Microprocessor 'arrangement for a vehicle-control system 



Patent number: 
Publication date: 
Inventor: 



Applicant: 

Classification: 

- international: 

- european: 
Application number: 
Priority number(s): 



DE1 9631 309 
1998-02-05 

FENNEL HELMUT (DE); KANT BERNHARD (DE); 
ESSELBRUEGGE HERMANN (DE); ZYDEK MICHAEL 
(DE); GIERS BERNHARD (DE) 

TEVES GMBH ALFRED (DE) 

G06F11/16; G06F11/16; (IPC1-7): B60T8/60; 
B60K28/16; B60T8/26; F15B21/08; G06F11/18 

G06F11/16B18 

DE19961031309 19960802 

DE19961031309 19960802 



Also published as: 

WO9805540 (A1) 
EP0915789 (A1) 
US61 73229 (B1) 
EP0915789 (B1) 



Report a data error here 



Abstract of DEI 9631 309 

The invention concerns a microprocessor 
arrangennent for a vehicle-control system, the 
microprocessor arrangement comprising a 
plurality of microprocessor systems (4. 5. 6) 
which are interconnected by bus systems (1, 2, 
3) and incorporate an antilock braking system 
and/or a traction control system, further control 
systems requiring complicated calculations, and 
an input signal shaping system (SC). In order to 
detect errors, some of the data-processing in a 
plurality of microprocessor systems is carried out 
in a "symmetrically" redundant manner and some 
of the data-processing is additionally carried out 
according to simplified algorithms 
("asymmetrically" redundant manner). Two 
similar microprocessor systems (5, 6) for 
symmetrically redundant data-processing are 
provided. The input signal shaping system and 
system for processing according to simplified 
algorithms are housed in a third microprocessor 
system (4). The output and/or interim results are 
compared for redundancy; in addition, the data- 
processing carried out in these microprocessor 
systems is compared in each case with the 
results of the simplified data-processing and 
checked for plausibility. 
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) Mikroprozeaeoranordnung fOr ein Fahrzaug-Regelungasystem 

) Eine Mikroprozessoranordnung fOr ein Fahrzeug>Rega- 
lungssystem umfa8t mehrere, untereinander durch Bus-Sy- 
steme (1, 2, 3) verbundene Mikroprozessorsysteme (4, 5. 6), 
die eine Blocklersctiutz- und/oder Antriebsschlupfregelung 
und weitere, rechenaufwendige Regelungssysteme sowia 
eine Eingangasignal-Aufberaitung (SC) ainschJiefien. Zur 
Fahiererkannung wird ein Tail der Oatenverarbaitung in 
maiiraran Mikroprozassorsystemen "symmatrisch" redun- 
dant und ein andarar Tail der Datenvararbaitung zusatzlicii 
nach verainfaehten Algorithmen ("asymmatriseh* redun- 
dant) ausgefQhrt. 

Es sind zwei glaichartige Mikroprozesaorsyateme (5, 6) 
vorhandan, die zur aymmatrisch redundanten Datenvararbai- 
tung dienan. Die Eingangssignal-Aufbereitung und dia Ver- 
arbaitung nach vereinfachten Algorithmen elnd in einem 
drittan Mlkroprozessorsystem (4) untergabracht. Die Aus- 
gangs- und/oder Zwischenergebnisse werden auf Redun- 
danz verglichen; auSardam warden die in diesen Mlkropro- 
zesaorsystamen ablaufende Datenverarbertung jeweiis mit 
den Ergebnisaen der vereinfachten Datanverarbettung ver- 
glichen und auf PlausibilitSt OberprOft 
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Beschreibung 

Die Erfindung bezieht sich auf eine Mikroprozesso- 
ranordnung der im Oberbegriff des Anspruches 1 defi- 
nierten Art Solche Fahrzeug-Regelungssystemen um- 
f assen a- Antiblockiersysteme (ABSX Antriebsschlupf- 
regelungen (ASR), Systeme zur elektronischen Rege- 
lung der Bremskraftverteilung (EBV), Giermomenten- 
regelungen und Fahrstabilitats-Regelungssysteme 
(GMR, FSR Oder ASMS) usw. 

Es ist eine groBe Anzahl solcher Regelungssysteme 
und Systemvarianten bekannt. Die Bedeutung derarti- 
ger Systeme nimmt heutzutage wegen der Forderung 
nach erhShter Sicherheit und erhShtem Komfort rapide 
zu. 

Es ist auch schon bekannt, mehrere Regelsysteme zu 
einem Verbund zusammenzuschlieBen, weil die ver- 
schiedenen Funktionen sich gegenseitig beeinflussen 
und weil Teile verschiedener Regelsysteme, z. B. Senso- 
ren, Schaltkreise zur Ermittlung und Verarbeitung von 
Eingangs-RegelgroBen, Oberwachungssysteme usw^ 
gemeinsam genutzt werden konnen. 

Zur Ldsung komplexer Regelaufgaben werden viel- 
fach Mikrorechner-Strukturen unterschiedlicher Art 
eingesetzt Aus der DE 32 34 637 C2 ist z. B. ein Anti- 
blockiersystem bekannt, dessen Regler zwei oder meh- 
rere parallel arbeitende MikrocontroUer zur Erzeugimg 
der Bremsdrucksteuersignale enthalt Diese Mikrocont- 
roUer verarbeiten die gleichen Eingangssignale nach ei- 
nem identischen Computerprogramm. Die Ausgangssi- 
gnale und interne Signale der MikrocontroUer werden 
auf Obereinstimmung Hberwacht, um Fehlfunktionen in 
einem der beiden ControUer zu erkennen. Weichen die 
redundant in den MikrocontroUem verarbeiteten Signa- 
le voneinander ab, wird die elektronische Regelung ab- 
gesdialtet, um sicherzustellen, daB auch beim Auftreten 
eines Fehlers in der Elektronik die Bremsenfunktion. 
wenn auch ungeregelt, erhalten bleibL 

Aus der DE 41 37 124 Al ist auch bereits eine derarti- 
ge Schaltungsanordnung mit sogenannter asymmetri- 
scher Redundanz bekannt Die Eingangssignale des Re- 
gelungssystems, namlich die das Drehverhalten wieder- 
gebenden, mit Radsensoren gewonnenen Signale, wer- 
den bei dieser Schaltungsanordnung zwei paraUelen Mi- 
krocontroUem zugeleitet, von denen jedoch nur einer 
das voUe Regelungsprogramm abarbeitet, w^end der 
zweite MikrocontroUer die Eingangsinformationen in 
vereinfachter Form nachbUdet und nach vereinfachten 
Algorithmen verarbeitet Durch Vergleich der Daten- 
verarbeitungsergebnisse beider MikrocontroUer auf 
Obereinstinunung oder zimiindest auf PlausibUitEt laBt 
sich trotz der vereinfachten Datenverarbeitung erne 
Fehlfunktion oder ein Defekt in der Elektronik erken- 
nen. 

Femer ist aus der DE 44 39 060 Al (P 7714) eine Mi- 
kroprozessoranordnung der eingangs genannten Art 
belumnt, die mehrere, untereinander durch Bus-Systeme 
verbundene Mikroprozessor-Systeme aufweist Mit die- 
ser Anordnimg kann eine Blockierschutz- und eine An- 
triebsschlupfregelung sowie mindestens eine weitere, 
rechenaufwendige Regelungsfunktion, einschlieBtich 
der Oberwachungsfunktionen, durchgefOhrt werden. 
Diese bekannte Mikroprozessoranordnimg umfaBt drei 
Mikroprozessorsysteme, auf die die einzeinen Funktio- 
nen derart aufgeteUt sind, daB das erste Mikroprozes- 
sorsystem zusammen mit dem zweiten Mikroprozessor- 
^tem die ABS- und ASR-Funktion, einschUeBUch der 
Uberwachung dieser Funktionen dbemimmt. Das dritte 
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Mikroprozessorsystem fOhrt zusammen mit dem zwei- 
ten MQcroprozessorsystem die weitere, rechenaufwen- 
dige Regelfunktion (GMR) und deren Oberwachung 
aus. Dabei wird ziu- Oberwachung von der asymme- 
5 trisch redundanten (mit Hilfe verschiedenartiger Re- 
chenprozesse oder Computersysteme) oder syrame- 
trisch redundanten (mit Hilfe gleichartiger Rechenpro- 
zesse Oder Computersysteme) Datenverarbeitung in je- 
weils zwei Mikroprozessorsysteme Gebrauch gemacht. 

10 Durch die in der vorgenannten DE 44 39 060 Al be- 
schriebene Unterbringung der verschiedenen Funktio- 
nen in nur drei Mikroprozessorsystemen, einschUeBUch 
der redundanten Signalverarbeitung, die zur Oberwa- 
chung dient, wird eine hohe Betriebssicherheit erreicht; 

15 auBerdem wird es mogUch, beim Erkennen bestimmter 
Fehlfunktionen einer Regelungskomponente nur diese 
abzuschalten und andere Regeiungsfunktionen fortzu- 
fuhren. 

Der vorUegenden Erfindimg Uegt nun die Aufgabe 

20 zugrunde, eine Mikroprozessoranordnung fur ein kom- 
plexes, aus mehreren Regelungskomponenten beste- 
hendes Fahrzeug-Regelungssystem zu entwickeln, das 
eine noch bessere, feinere, abgestufte Zuordnung der 
Oberwachung einzelner Regeiungsfunktionen oder Re- 

25 gelungssysteme an den Sicherheitsbedarf bzw. Bedeu- 
timg dieser Funktionen fur die Sicherheit des Fahrzeugs 
ermdglicht Es soUte gewissermaBen ein abgestuftes Si- 
cherheitskonzept verwirkUcht werden. 
Es hat sich gezeigt, daB diese Aufgabe durch die im 

30 Anspruch 1 beschriebene Mikroprozessoranordnung 
gelost werden kann, deren Besonderheit darin besteht, 
daB zwei gleichartige Haupt-Mikroprozessorsysteme 
vorhanden sind, die zur redundanten Datenverarbei- 
tung eingesetzt werden, daB ferner die Eingangssigna- 

35 laufbereitung und die Verarbeitung nach vereinfachten 
Algorithmen, also auf Basis asymmetrischer Redundanz, 
in einem dritten Mikroprozessorsystem untergebracht 
sind und daB schUeBUch die Ausgangs- und/oder Zwi- 
schenergebnisse der in den Haupt-Mikroprozessorsy- 

40 stemen ablaufenden Datenverarbeitung untereinander 
auf Obereinstimmung vergUchen und jeweUs mit den 
Ausgangs- und/oder Zwischenergebnissen der verein- 
fachten Datenverarbeitung vergUchen und auf Plausibi- 
litat Qberpruft werden. 

45 Nach einer vorteUhaften Ausfuhrungsart ist es 
zweckmaBig, wenn beim Vergleich und Auswerten der 
redundant verarbeiteten Daten zwischen "sicherheits- 
kritischen" und "firnktionswesentUchen" oder im Hin- 
bUck auf die Sicherheit weniger kritischen Daten unter- 

50 schieden wird. Treten Abweichungen zwischen den re- 
dundant verarbeiteten sicherheitskritischen Daten auf, 
wird das gesamte Fahrzeug-Regelungssystem abge- 
schaltet, oder es werden zumindest die von den nicht 
ubereinstimmenden Daten betroffenen Regelungen au- 

55 Ser Funktion gesetzt. Bei Abweichungen zwischen we- 
niger sensiblen, funktionswichtigen Daten wird durch 
individueUen Vergleich der Daten der beiden Haupt- 
Mikroprozessorsystemen mit den Ergebnissen der ver- 
einfachten Datenverarbeitung das fehlerhafte Haupt- 

60 Mikroprozessorsystem ermittelt. Mxt Hilfe des intakten 
MUcroprozessorsystems werden dann die Regeiungs- 
funktionen vollsttodig oder eingeschrankt fortgesetzt 

Beim Auftreten von Diskrepanzen zwischen den Da- 
tenverarbeitungs-Ergebnissen der Haupt-Mikroprozes- 

65 sorsysteme kdnnen diese beiden Ptozessor^teme 
nacheinander weggeschaltet werden, worauf dann die 
Regeiungsfunktionen, wenn nach dem Wegschalten des 
Systems die Datenverarbeitungsergebnisse mit dem Er- 



DE 196 31 309 Al 



gebnis der vereinfachten Datenverarbeitung uberein- 
stimmen bzw. plausibel sind, auf Basis des ordnungsge- 
maBen, intakten Haupt-Mikroprozessorsystems und der 
Oberwachung auf Plausibilitat durch das dritte Mikro- 
prozessorsystem zumindest eingeschrtnkt fortgesetzt 
werdeiL £s werden naturlich nur die fimkdonswesentli- 
chen, nicht die sicherheitskritisdien Datenverarbei- 
tungs-Vorgange und Regelungsfunktionen fortgesetzt 

Andererseits kann auch die Schaltung derart ausge- 
legt werden, daB beim Auftreten von Diskrepanzen zwi- 
schen den Datenverarbeitungsergebnissen der Haupt- 
Mikroprozessorsysteme die Datenverarbeitungs-Vor- 
gange und Regelfunktionen auf Basis der Ergebnisse 
. fortgesetzt werden, die den durch die vereinfachte Da- 
tenverarbeitung ermittelten Ergebnissen naher sind. Ei- 
ne solche Vorgehensweise ist allerdings nicht in alien 
Fallen zweckmaBig, weD eine derartige Auslegung zu 
Problemen fuhren kann, wenn sich aufgrund der Storun- 
gen Zufallsergebnisse einstellen. Sicherer ist es daher, 
die beiden Haupt-Mikroprozessorsysteme, wie zuvor 
genannt, nacheinander wegzuschalten und dadurch das 
fehlerhafte System zu ermitteln. 

Nach einem anderen Ausfuhrungsbeispiel der Erfin- 
dung ist es vorgesehen, beim Auftreten von Diskrepan- 
zen zwischen den Datenverarbeitungsergebnissen in 
Abhangigkeit von dem MaB der Abweichung oder der 
Anzahl der Nicht-Qbereinstimmungen pro Zeiteinheit 
bestimmte Regelungsfunktionen oder Systemfunktio- 
nen aufZuheben, wobei wiederum zwischen "sicherheits- 
kritischen" und bezogen auf die Sicherheit "unkriti- 
schen** Regelungsvorgangen und Systemfunktionen un- 
terschieden wird. 

Weitere Einzelheiten, Vorteile und Anwendungsmog- 
lichkeiten der Erfindung gehen aus der folgenden Be- 
schreibung anhand eines Ausfflhrungsbeispiels der Er- 
findung hervor. Die beigefugte Figur zeigt in verein- 
fachter schematischer Darstellung den prinzipiellen 
Aufbau einer Mikroprozessoranordnung nach der Er- 
findung. 

Wie der Darstellung zu entnehmen ist, umfaBt die 
erfindungsgemaBe Mikroprozessoranordnung drei Mi- 
kroprozessorsysteme 4. 5, 6 (MPl, MP2 und MP3), die 
untereinander durch ein Bus-System, im dargestelJten 
Beispiel durch einen Ringbus 1, 2, 3 miteinander verbra- 
den sind Ein stemfdrmiger Bus anstelle des Ringbusses 
1,2,3 kame ebenfails in Frage. 

Mit "ES" sind in der Abbildung die Eingangssignale 
symbolisiert, die Qber eine Vielfachleitung dem Mikro- 
prozessor 4 (MPl) zugefuhrt werden. Bei einem Fahr- 
zeug-Regelungssystem mit ABS, ASR, EB V etc. werden 
dem ersten Mikroprozessorsystem 4 (MPl) als Ein- 
gangsinformationen Sensorsignale zugefuhrt, die das 
Drehverhalten der einzelnen Fahrzeugrader wiederge- 
ben. FOr eine Fahrstabilitatsregelung (GMR, FDR oder 
ASMS genannt) werden zusatzliche Informationen uber 55 
den Gierwinkel, Gierwinkelgeschwindigkeit, Lenkwin- 
kel, Bremsdruck usw. bendtigt Diese Informationen 
werden mit entsprechenden Sensoren gewonnen oder, 
soweit maglich, aus den vorliegenden Informationen, 
insbesondere aus den Radsensorinformationen, rechne- 
risch ermittelt. Diese zusltzlichen Sensoren und Infor- 
mationen werden in der Darstellung durch eine Senso- 
reinheit 7 symbolisiert, die in diesem Beispiel einen 
Gierwinkelsensor G, einen Lenkwinkelsensor LW und 
einen Drucksensor P umfaBt In diesem Fall wird das 
Ausgangssignal der Sensoreinheit 7 direkt den beiden 
Mikroprozessorsystemen MP2 und MP3 parallel zuge- 
fahrt In einem anderen, nicht dargestellten Ausffih- 
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rungsbeispiel ist die Signalaufbereitung fur diese Infor- 
mationen ebenfails in dem Eingangsniikroprozessorsy- 
stem 4 (MPl) untergebracht 

Bei der erfindungsgemaBen Mikroprozessoranord- 
nung ist eine redundante Datenverarbeitimg m zwei 
voUwertigen Mikroprozessorsystemen 5, 6 (MP2, MP3) 
vorgesehen. Im vorliegenden Beispiel dient die Mikro- 
prozessoranordnung sowohi zur Blodderschutzrege- 
lung (ABS), als auch zur Antriebsschlupfregelimg (ASR), 
Regelung der Bremskraftverteihing (EBV) und Fahrsta- 
bilitatsregelung (ASMS; autoraatisches Stabilitats-Ma- 
nagement-System). 

In dem dritten Mikroprozessorsystem MPl, das im 
Gegensatz zum MP2 und MP3 durch ein vereinfachtes 
System realisiert ist, findet vor allem die Aufbereitung 
und Verarbeitung der Eingangssignale (Signal Conditio- 
ning) statt AuBerdem sind in dem Mikroprozessorsy- 
stem **Nachbildimgen" abs, asr, ebv (asms), namlich der 
in den beiden Prozessorsystemen MP2 und MP3 instal- 
lierten Regelungssystemen ABS, ASR. EBV, ASMS un- 
tergebracht "asms" wurde im MPl in Klammem ge- 
setzt, weil in einem bevorzugten Ausfuhrungsbeispiel 
dieses Regelungssystem aus Sicherheitsgrunden aus- 
schlieBlich durch symmetrische Redundanz, nicht durch 
eine Nachbildung mit vereinfachten Algorithmen, iiber- 
wacht wurde. Es ist jedoch durchaus mdglich, zumindest 
einige Funktionen des Stabilitatssystems (ASMS) durch 
asymraetrische Redundanz zu uberwachen. 

In der Abbildimg sind auBerdem die erfindungswe- 
sentlichen Redundanzglieder oder Vergleicher 8, 9 und 
10 symbolisch dargestellt In der Schaltung 8 werden die 
Endergebnisse und/oder Zwischenergebnisse der bei- 
den Haupt-Mikroprozessorsysteme MP2 und MP3 auf 
Obereinstimmung verglichen. Die Oberwachung beruht 
auf der sogenannten "symmetrischen" Redundanz, Tre- 
ten Diskrepanzen auf bzw. besteht keine vollst^ndige 
Obereinstimmimg der dem Redundanzglied 8 zugefuhr- 
ten Datenverarbeitungs-Ergebnisse, wird, wenn es sich 
um sicherheitskritische Daten, Regeiungs- oder System- 
funktionen handelt die gesamte Regelung abgeschaltet 
Dies symbolisiert ein Kontakt 11, der das Regelungssy- 
stem nur dann freigibt oder einschaltet, wenn die ver^i- 
chenen Signale vollstandig iibereinstimmen. 

Mit Hilfe der Vergleicher oder RedundanzgHeder 9, 
10 werden auBerdem die Datenverarbeitungsergebnisse 
(End- und/oder Zwischenergebnisse) der Haupt-Mikro- 
prozessorsysteme 2, 3 mit den auf Basis der vereinfach- 
ten Algorithmen gewonnenen Datenverarbeitungs-Er- 
gebnisse auf Obereinstimmung bzw, auf Plausibilitat 
uberwacht Im Vergleicher 9 findet die Oberprufung der 
Ergebnisse bzw. der Arbeitsweise des Mikroprozessor- 
systems MP2, im Vergleicher 10 die Oberprufung des 
Mikroprozessorsystems MP3 statt Die gestricheite, von 
der Schaltung 12 zu der Schaltung (9, 10) fuhrende Da- 
tenleitung 13 deutet an, daB diese Oberprufung auf 
Plausibilitat nur fiir die funktionswesentlichen, nicht je- 
doch fur die sicherheitskritischen Daten bzw. Rege- 
iungs- oder Systemfunktionen der Haupt-Mikroprozes- 
soren 5, 6 (MP2, MPS) g^t NatOrlich gibt es eine Vielfalt 
von M6glichkeiten, zwischen sicherheitskritischen und 
funktionswesentlichen oder weniger kritischen Funktio- 
nen zu unterscheiden und das Sicherheitskonzept ent- 
sprechend abzustufen. Beisplelsweise kaim das wieder- 
holte Auftreten einer Fehlfunktion, die an sich weniger 
kritisch ist, als erhdhtes Sicherheitsrisiko bewertet wer- 
den und daher zur Abschaltung f Qhren. 

Ein vorteilhaftes Ausfuhrungsbeispiel der Erfindung 
besteht darin, daB beim Auftreten eines fimktionswe- 
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sentlichen, fflr die SicheHieit nicht kritischen Fehlers 
Ober den Schaltkreis 12 imd die Vergleicher 9, 10 der 
Fehier lokalisiert wird. Hierzu werden nacheinander die 
Mikroprozessorsysteme MP2 und MP3 weggeschaltet 
und, wenn nunmehr die Obereinstimmung oder Plausi- 5 
bilitat der Datenverarbeitungs-Ergebnisse vom Verglei- 
cher 9 Oder 10 festgestellt wird, die Regeliingsfimktion, 
zumindest fur eine vorgegebene Zeitspanne oder bis zu 
einem bestimmten Ereignis — zum Beispiel bis zum 
Ende des gerade laiifenden Regeizyklus — fortgesetzt 10 

Ein Beispiel fur eine sicherheitskritische Fimktion ist 
bei einer Fahrstabilitatsregelung (ASMS) das Einsetzen 
des Bremsvorganges. Ein "iingerechtfertigtes Einbrem- 
sen" mufl aus Sicherheitsgrunden verhindert werden. 
Wird in einem solchen Fall durch den Vergleicher 8 eine 15 
Diskrepanz ermittelt, wird das ASMS auBer Funktion 
gesetzt AuBerdem wird in diesem Beispiel der Fehier 
mit Hilfe des dritten Mikroprozessorsystems 4 (MPl) 
lokalisiert und eine ABS-Bremsung auf Basis der von 
dem intakten Mikroprozessorsystem MP2 oder MPS 20 
errechneten Daten, wenn diese der Oberprufung auf 
Basis des vereinfachten Loganthmus mit Hilfe des Mi- 
kroprozessorsystems MPl standhalten, zugelassen. Dies 
ist ein Beispiel von vielen. 

Mit Hilfe der erfindungsgemafien Mikroprozessoran- 25 
ordnung laBt sich folglich ein hohes Sicherheitsniveau 
erreichen. Einerseits fuhren Fehier, die fflr die Fahrsi- 
cherheit kritisch sind, zur Abschaltung der Regelung. 
Andererseits ist es gewahrleistet, daB bei anderen, rela- 
tiv unkritischen Fehlfunktionen die Regelung vollstan- 30 
dig Oder eingeschr^kt — z. B. bis zur Beendigung eines 
Regelungsvorgangs — fortgefuhrt wird Diese "Abstu- 
fung" des Sicherheitskonzeptes ist ganz besonders bei 
komplexen Regelungssystemen, die sehr unterschiedli- 
che Regelungsfunktionen vereinen, em entscheidender 35 
Vorteil 

Patentanspruche 

1. Mikroprozessoranordnung fur ein Fahrzeug-Re- 40 
gelungssystem, mit mehreren, untereinander durch 
Bus-Systeme verbundenen Mikroprozessorsyste- 
men, die eine Blockierschutz- und/oder Antriebs- 
schlupfregelung und mindestens eine weitere, re- 
chenaufwendige Regelung sowie eine Eingangssi- 45 
gnal-Aufbereitung einschlieBen, wobei zur Fehler- 
erkennxmg ein Teil der Datenverarbeitimg in meh- 
reren Mikroprozessorsystemen redundant (sym- 
metrische Redundanz) und ein Teil der Datenverar- 
beitung zus^tzlich nach vereinfachten Algorithmen 50 
(asymmetrische Redundanz) ausgefuhrt werden, 
dadurch gekennzeichnet, daB die Mikroprozesso- 
ranordnung zwei gleichardge Haupt-Mikroprozes- 
sorsysteme (5, 6) enthalt, die zur redundanten Da- 
tenverarbeitung dienen, daB die Eingangssignal- 55 
Aufbereitung (SC) und die Verarbeitung nach ver- 
einfachten Algorithmen in einem dritten Mikropro- 
zessorsystem (4) untergebracht sind und daB die 
Ausgangs- und/oder Zwischenergebnisse der in 
den Haupt-Mikroprozessorsystemen (5, 6) ablau- eo 
fenden Datenverarbeitung untereinander auf 
Obereinstimmung verglichen und jeweils mit den 
Ausgangsund/oder Zwischenergebnissen der ver- 
einfachten Datenverarbeitung auf Plausibilitat ver- 
glichen bzw. Oberprilft werden. 65 
Z Mikroprozessoranordnung nach Anspruch 1, da- 
durch gekennzeichnet, daB bei Vergleidi imd Aus- 
werten der redundant verarbeiteten Daten zwi- 



sdien sidierheitskritischen und funkdonswesentli- 
chen Daten unterschieden wird. 

3. Mikroprozessoranordnimg nach Anspruch 2, da- 
durch gekennzeichnet, daB bei Diskrepanzen zwi- 
schen den redundant verarbeiteten sicherheitskriti- 
schen Daten das gesamte Fahrzeug-Regelungssy- 
stem Oder zumindest die von den nicht ubereinstim- 
menden Daten betroffenen Regeiimgen abgeschal- 
tet werden. 

4. Mikroprozessoranordnung nach Anspruch 2, da- 
durch gekennzeichnet, daB bei Diskrepanzen zwi- 
schen den funktionswesentlichen Daten durch den 
individuellen Vergleich der Daten der beiden 
Haupt-Mikroprozessorsysteme (5, 6) mit den Er- 
gebnissen der vereinfachten Datenverarbeitung in 
dem dritten Mikroprozessorsystem (4) das fehier- 
hafte Haupt-Mikroprozessorsystem (5 oder 6) er- 
mittelt und die Regelungsfunktionen mit Hilfe des 
intakten Haupt-Mikroprozessorsystems (5 oder 6) 
und des dritten Mikroprozessorsystems (4) voll- 
standig oder eingeschrankt fortgesetzt werden. 

5. Mikroprozessoranordnung nach Anspruch 4, da- 
durch gekennzeichnet, daB beim Auftreten von 
Diskrepanzen zwischen den Datenverarbeitungs- 
Ergebnissen der Haupt-Mikroprozessorsysteme (5, 
6) nacheinander diese beiden Haupt-Mikroprozes- 
sorsysteme weggeschaltet werden und daB, wenn 
nach dem Wegschalten eines der Haupt-Mikropro- 
zessorsysteme (5, 6) die Datenverarbeitungs-Er- 
gebnisse mit den Ergebnissen der vereinfachten 
Datenverarbeitung ubereinstimmen bzw. plausibel 
sind, die Regelungsfunktionen auf Basis des ord- 
nungsgemaBen, intakten Haupt-Mikroprozessorsy- 
stems (5 oder 6) und der Oberwachung auf Plausibi- 
litat zumindest eingeschrankt fortgesetzt werden. 

6. Mikroprozessoranordnung nach Anspruch 5, da- 
durch gekennzeichnet, daB auf Basis des ordnungs- 
gem^en Haupt-Mikroprozessorsystems (5, 6) und 
der Oberwachung durch das dritte Mikroprozes- 
sorsystem (4) nur die funktionswesentlichen, nicht 
die sicherheitskritischen Datenverarbeitungs-Vor- 
gange und Regelungsfimktionen fortgesetzt wer- 
den. 

7. Mikroprozessoranordnung nach Anspruch 4, da- 
durch gekennzeichnet, daB beim Auftreten von 
Diskrepanzen zwischen den Datenverarbeitungs- 
Ergebnissen der Haupt-Mikroprozessorsysteme (5, 
6) die Datenverarbeitung und Regelung auf Basis 
der Ergebnisse, die den durch die vereinfachte Da- 
tenverarbeitung ermittelten Ergebnissen n^her 
sind, fortgesetzt warden. 

8. Mikroprozessoranordnung nach einem oder 
mehreren der AnsprQche 1 bis 7, dadurch gekenn- 
zeichnet, daB beim Auftreten von Diskrepanzen in 
Abhangigkeit von dem MaB oder der Anzahl der 
Nichtubereinstimmungen pro Zeiteinheit bestinmi- 
te Regelungsfunktionen oder Systemfunkdonen 
aufgehoben werden, wobei zwischen sicherheits- 
kritischen und unkritischen, funktionswesentlichen 
Regelungs- und Systemfunkdonen unterschieden 
winL 
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